Wildcard-сертификат

Wildcard-сертификат — TLS-сертификат X.509, содержащий в SAN wildcard-идентификатор DNS с символом «*», например *.example.com. Современные TLS-клиенты проверяют DNS-имя по SAN; wildcard в поле Common Name (CN) субъекта относится к устаревшей совместимости. Такой шаблон обычно соответствует именам вида app.example.com и mail.example.com, но не самому example.com и не имени a.b.example.com. Поддержка wildcard-имён определяется правилами сопоставления имён у TLS-клиента и политикой центра сертификации. При выпуске wildcard-сертификата по ACME применяют DNS-01, поскольку HTTP-01 для wildcard-идентификаторов не допускается. Закрытый ключ такого сертификата получает доступ к аутентификации нескольких сервисов, поэтому его распространение следует ограничивать. Wildcard-сертификаты применяют для групп сервисов в одной DNS-зоне: веб-интерфейсов, обратных прокси, тестовых сред и платформ с динамически создаваемыми поддоменами. Решение о применении учитывает число имён, границы доверия между сервисами и процедуру ротации закрытого ключа. В сертификате можно использовать wildcard-идентификатор или явно перечислить несколько DNS-имён в SAN; оба подхода можно сочетать. Wildcard также не покрывает несколько уровней поддоменов одним шаблоном и не заменяет отдельное имя базового домена.